Home > Notícias

A Web 2.0 é segura?

Com mais e mais dados de usuários online, crackers procuram maneiras de invadir esses novos serviços. Para especialistas, o problema é enorme e deve aumentar

Por Robert McMillan, especial para PC WORLD*

14/08/2007 às 17h32

web20_segura_70.jpg
Foto:

Com mais e mais dados de usuários online, crackers procuram maneiras de invadir esses novos serviços. Para especialistas, o problema é enorme e deve aumentar

web20_segura150O que Samy Kamkar realmente queria era impressionar as garotas. Em vez disso, ele fez história como hacker na web.

Kamhar criou o que é considerado o primeiro worm da Web 2.0 – um bug virulento que nenhum firewall conseguiu bloquear, e que tirou o MySpace.com do ar temporariamente.

O Samy (como depois foi batizado por Kamkar) estava entre os mais proeminentes tipos de ataque à web de nova geração que alguns especialistas em segurança temem possam frear o desenvolvimento do modelo de internet colaborativa conhecido como Web 2.0.

Kamkar estava procurando por uma forma de escapar das restrições de conteúdo impostas pelo MySpace e assim melhorar seu perfil (profile) quando ele se deparou com um bug que lhe permitia controlar o browser de qualquer um que visitasse a sua página na rede social.

Pouco tempo depois, lembra, ele criava a praga baseada em web de disseminação mais rápida de todos os tempos.

Em 20 horas, o worm já havia infectados aproximadamente 1 milhão de usuários do MySpace, forçando-os a selecionar Kamkar como seu “herói”em seus respectivos perfis.

A News Corporation, dona da rede de relacionamento, teve de retirar o serviço do ar para poder consertar o problema. Por esse fato, Kamkar foi punido com uma pena de três anos pelo Corte Superior de Los Angeles (Estados Unidos).

Como uma praga Web 2.0, o Samy marcou o início uma reviravolta nas preocupações com a segurança na internet. Pragas antigas, como o MyDoom e Sobig, afetavam os sistemas e causaram dores de cabeça aos administradores das redes por dias.

Contudo, o que fora inventado por Kamkar não causava problema algum aos computadores dos usuários do MySpace, e sim afetava seus dados online, coisa que os programas de antivírus não podiam prever. Mas bastou que o MySpace corrigisse a falha em seus servidores para que o problema como um todo fosse solucionado.++++
web20_segura150Conseqüências inesperadas
Para especialistas como Rober Hansen, CEO da Sectheory, empresa de consultoria em segurança na web, o Samy é um exemplo das conseqüências inesperadas que podem ocorrer quando os sites permitem que os usuários possam contribuir para seus ativos.

Hansen e outros pesquisadores acreditam que nós estamos apenas começando a ver o que pode dar errado quando a segurança dos programas Web 2.0 são postos à prova.

Sem uma mudança radical na maneira como os browsers interagem com a internet, dizem esses especialistas, o problema da segurança da Web 2.0 só tende a piorar. E com mais e mais dados críticos armazenados em aplicações dela, como o Google Calendar e a suíte de aplicativos Zoho Office, tais brechas na segurança podem resultar em muito prejuízo.

Por ora, são duas as maiores preocupações dos especialistas com relação aos ataques na web: sites forjados (que se fazem passar por páginas verdadeiras); e a inclusão de código de software nocivo em sites verdadeiros (Cross-site scripting).

Este último pode acontecer de várias maneiras, mas o resultado é sempre o mesmo: o criminoso encontra uma forma de executar código não autorizado dentro do browser que a vítima está usando.

Os sites que permitem aos visitantes postarem seu próprio conteúdo estão ampliando a capacidade de filtragem de software para impedir que os usuários adicionem códigos considerados inseguros a seus perfis no MySpace ou no eBay, por exemplo. Mas no caso do Samy, Kamkar encontrou uma forma de infiltrar seu JavaScript, apesar dos filtros do MySpace.++++
web20_segura150Em outro tipo de ataque cross-site scripting, o site é obrigado a executar um código JavaScript que esteja incluído em uma URL. Os projetistas de sites tentam impedir que esse tipo de coisa funcione; erros de programação, porém, podem abrir brechas que permitem o ataque.

Seth Bromberger, gerente de segurança da informação da Pacif Gas & Oil Electric de São Francisco (Califórnia, Estados Unidos) diz que ao se integrar a novos parceiros – ou componentes gerados pelos usuários – os administradores dos sites devem ficar atentos à segurança desses blocos da mesma forma que com seu próprio site. “Eles, agora, têm múltiplas portas a defender”, explica.

O que mais preocupa Bromberger é o fato de que muitos serviços baseados na web  estão sendo construídos sem que os riscos relativos à segurança estejam completamente compreendidos. “A totalidade dos riscos dos ataques relativos a sites forjados nas redes locais só agora começa a ser examinada”, diz ele.

Nesse tipo de ataque, o criminoso ‘engana’ um site, fazendo-o pensar que está enviando e recebendo dados de um usuário que tenha se logado nele. Ataques como este podem ser usados pelo atacante para acessar qualquer site do qual a vítima não tenha feito logoff (se desconectar).

Para se proteger desse tipo de ameaça, muitos sites desconectam os visitantes automaticamente após alguns minutos de inatividade. Porém, se o criminoso conseguir convencer o usuário a visitar um site malicioso enquanto a conexão com seu banco, por exemplo, estiver ativa, teoricamente é possível que o atacante possa acessar qualquer informação do usuário.

Ataques desse tipo, contudo, são difíceis de ocorrer de maneira ampla; mas se realizados de forma objetiva, podem ser eficientes contra um grande número de web sites, de acordo com Jeremiah Grossmaan, CTO da WhiteHat Security. “Os ataques cross-site forgery vão se tornar um grande problema pelos próximos dez anos”, afirma.++++
web20_segura150Falhas fundamentais
Hansen, da Sectheory, diz que computadores pessoais e servidores web não foram desenhados para trabalhar juntos de forma segura. Como a Web 2.0 coloca esses dois tipos de equipamentos para realizar uma série de novas coisas, as falhas de projeto começam a se mostrar.

Hansen, que também mantém um fórum de discussão sobre os últimos ataques na web, acrescenta: “basicamente, tudo diz respeito à maneira como os browser trabalham.”

O Google Desktop, em particular, preocupa Hansen. Por conta de serviços como este, vulnerabilidades na web podem afetar os desktops. “Se o usuário permite que um site tenha acesso ao HD – para modificar, alterar coisas, integrar ou seja lá o que for – ele confia que tal site seja seguro.”

Serviços como o MySpace e o eBay enfrentam problemas desse tipo todos os dias, mas se a visão do Google de uma integração maior entre o desktop e a internet se tornar realidade, a segurança na Web 2.0 também irá afetar usuários corporativos.

“Historicamente, o Google não tem sido muito bom em compreender esses problemas”, ressalta Hansen.

Ainda que alguns pesquisadores discordem de Hansen e digam que o Google tem feito um trabalho admirável para manter seus sites livres de falhas, muitos acham que os problemas reais de segurança na internet estão totalmente fora de controle de empresas como o Google.

“Não existe um modelo de segurança para browser”, afirma Alex Stamos, da Information Security Partners. “O problema é que o Google pratica as regras que o Netscape estabeleceu há uma década.”

Para Stamos, o modelo de compartilhamento de pequenos programas gerados pelos usuários, denominados widgets, é “completamente insano” do ponto de vista da segurança.++++
web20_segura150Fique em segurança
Erros de código ainda são extremamente comuns, mas só recentemente os donos dos sites vêm procurando eliminá-los de forma efetiva.

“Curiosamente, não há muita pesquisa sobre como construir um site ou quais as melhores formas de as empresas se protegerem”, ressalta Michael Barret, executivo para segurança da informação do PayPal, ligado ao eBay. “E se existe um conjunto dessas melhores práticas, digo que poucos são os que realmente as compreendem.”

A natureza das falhas em segurança da Web 2.0 limitam o que os usuários podem fazer para evitá-los. Para evitar os ataques cross-site forgery, por exemplo, utilize um browser diferente quando for utilizar serviços Web 2.0 que hospedam informações importantes e sensíveis.

Assim, caso o usuário utilize o Firefox, deve utilizar o Opera, por exemplo, quando for acessar o internet banking. Qualquer site que ele acesse com o Firefox não terá acesso aos cookies do Opera que o mantém conectado ao serviço.

Os ataques cross-site scripting podem ser mais difíceis de evitar. Como sempre, ajuda ter cuidado no momento de clicar em determinado link, mas isso não vai impedir  ameaças como o Samy, que afeta sites nos quais o usuário confia.

Enquanto a solução desses problemas não for perfeita, repense o quanto de suas informações pessoais e importantes você realmente quer que estejam armazenadas online.

Apesar disso, Barret, do PayPal, acha que os padrões de segurança como as especificações WS avançam no sentido de solucionar os problemas relativos às falhas, mas concorda que muitos dos padrões básicos, tais como JavaScript e http, devem ser repensados.

“Precisamos reavaliar estes padrões e até reescrever alguns deles para torná-los mais seguros”, diz Barret. “Se um grande número de empresas se levantar e disser: ‘temos um problema aqui’, a indústria, então, vai começar a se mexer”.

*Robert McMillan é editor da PC WORLD (EUA)

Junte-se a nós e receba nossas melhores histórias de tecnologia. Newsletter por e-mail Newsletter por e-mail